隐私政策

Nido 保存着你家庭的财务信息。这些是敏感信息，下面的内容会准确说明保存了什么、存在哪里、保存多久，以及还有谁能看到。它是写来给你读的，不是为了给我们自己免责。

下面的内容适用于所有人。之后有四个附录——乌拉圭、巴西、加利福尼亚和欧盟——列出各地法律额外要求的内容：具体条款、期限，以及向谁投诉。第一部分中的权利无论你住在哪里都适用；附录只是告诉你这些权利在你所在的国家叫什么，以及如果我们没有尊重这些权利，该向谁投诉。

谁是负责人

Santiago Rodríguez，自然人，位于乌拉圭，是 Nido 所收集数据的处理负责人。关于本文件或你的数据的任何问题，请联系：[email protected]。无论在哪个国家，行使任何权利也都使用这个地址。

我们保存哪些数据

你的账户数据

姓名、电子邮箱和密码。密码本身不会被保存：保存的是哈希值，一种无法反推回原文的结果。如果你用 Google 登录，我们不保存密码，而是保存 Google 返回给我们的标识符，以及你的姓名、邮箱和头像（如果你有头像的话）。如果你开启了双重验证，我们会保存用于生成验证码的密钥。

你的家庭数据

家庭名称、家庭成员，以及每个人在家庭中显示的名字。家庭是共享的：你录入的内容其他成员都能看到，这正是它的用途。

你录入的数据

收入、支出、债务、信用卡、订阅、预算和储蓄，包括金额、币种、日期、分类、商户、支付方式以及你写的备注。如果你使用银行对账功能，还包括你上传的银行流水及其中的交易记录。

对于信用卡，我们保存卡号后四位、有效期、额度和利率。绝不保存完整卡号或安全码：根本没有可以存放它们的字段。

票据照片

当你扫描一张小票时，照片会被上传，用于识别并提取金额、日期和商户。图片不会被永久保存：见保存多久。

设备数据

• 推送通知令牌：由 Google 签发的一个标识符，用来向你的手机发送通知。它不会透露你是谁，也不会透露你在哪里。
• IP 地址：用于限制每分钟的登录尝试次数和操作次数，防止有人用程序批量试密码。它只在计数窗口期间保存，之后即被删除。
• 应用错误：如果出现故障，应用会发送错误信息、出错位置、平台和版本。发送之前会遮盖金额，关于当前页面只发送路径，不包含页面上的数据。报告中不包含你的姓名或标识符。这些报告保存在服务器日志中，而不是数据库里。

应用请求哪些权限，用途是什么

权限	用途
相机	拍摄票据照片。只在你选择扫描时才会请求，而不是在打开应用时。
通知	提醒你即将到期的款项，以及家庭其他成员录入的内容。
生物识别	可选的指纹解锁应用。验证由手机完成，你的指纹永远不会离开手机：Nido 只会收到“是”或“否”。

Nido 不会请求获取你的位置，也不会访问你的联系人、日历、短信或文件。

我们用数据做什么

用于让应用正常运行：向你显示你的数字、计算每个周期的合计、提醒你即将到期的款项、发送服务相关的邮件——验证、找回密码、家庭邀请——并安全地保持你的登录状态。仅此而已。

我们不投放广告，不出售也不转让你的数据，Nido 中也没有任何第三方分析工具。没有人在追踪你点了什么。

与谁共享

只与应用运行所必需的服务共享，并且只提供每个服务所需的最少数据。这些服务都位于你所在的国家之外，主要在美国：使用 Nido 意味着数据的跨境传输，巴西和欧洲附录说明了其法律依据。

服务	收到什么
OpenAI	你让 Nido 读取的文件：票据照片、银行流水、信用卡账单或债务合同。如果你使用 Auria，还包括你写给它的内容，以及它回答时所需的家庭数据。
Google	如果你用 Google 登录，你的登录信息。以及你手机的令牌，用于推送通知。
Resend	当应用给你发送邮件时，你的邮箱地址和邮件内容：验证、修改密码或家庭邀请。
Vercel	托管网站和 API。所有往来的数据都会经过这里。
Supabase	托管存放以上所有内容的数据库，包括照片和银行流水——它们保存在数据库本身中，而不是单独的文件存储服务里。
DolarAPI	不涉及你的任何数据。只用来查询美元汇率，这对所有人都一样。

除此之外，如果有权机关下达命令，我们会提供数据。如果发生这种情况，且法律允许我们通知你，我们会通知你。

Auria 与人工智能

Auria 是 Nido 的助手。它需要查看你的家庭数据才能回答问题，因此在家庭管理员明确同意之前，它不会运行。这项同意会被记录，可以撤回；在没有同意之前，Auria 不会收到任何内容：既不会收到家庭数据，也不会收到你写给它的内容。

你与 Auria 的对话只属于你。家庭中的其他人看不到这些对话，即使他们共享你所询问的数据。

扫描票据以及读取银行流水、信用卡账单和债务合同也会使用人工智能，此时发送的是文件本身。如果你不想使用这些功能，可以手动录入收支记录：应用照样可以正常使用。

你的数据不会用于训练任何模型。发送数据只是为了获得回答，我们也要求服务商不要保存这些回答。

保存多久

• 你的账户和个人数据：只要账户存在就会保存。注销账户时会立即删除。
• 没有任何成员的家庭：90 天。如果你注销账户时是唯一有访问权限的人，家庭不会立即删除：它会被标记，期限届满后由每日清理任务删除。这留出了一段时间，让你可以写信要回它，因为删除是无法撤销的。
• 票据照片和银行流水：30 天。之后每天自动删除，无论是否有人用过。
• 限流器记录的 IP 地址：在计数窗口期间保存：几分钟。
• 错误日志：按服务器的保留期限保存，时间很短，而且无法查询。

如何保护

所有数据都通过 HTTPS 加密传输。密码以哈希形式保存。每次查询都会验证发起者是否属于其所请求数据的家庭，而且这项验证不会因为疏忽被遗漏：它写在类型里，跳过验证的程序无法编译。在手机上，应用会阻止对显示你数据的页面截屏，并提供指纹锁。

没有任何系统是万无一失的。如果发生影响你数据的泄露，我们会通知你，并在相关法律规定的期限内通知相应的监管机构——在乌拉圭和欧洲为 72 小时。

你的权利

无论你住在哪里，你都可以访问你的数据、更正数据、以其他应用可以读取的格式带走数据、反对某项处理、撤回你给出的同意——例如对 Auria 的同意——以及要求删除全部数据。只需写信到 [email protected] 即可行使这些权利，免费，也无需说明理由。

注销账户已经是一项现成的流程，并且会立即执行：删除你的用户，连同你的会话、凭据、关联的 Google 账户、双重验证、已注册用于接收通知的设备，以及你与 Auria 的对话。你可以在网页或应用的设置 → 安全 → 删除账户中操作，也可以通过邮件申请。如果你是某个家庭唯一的所有者，而家庭里还有其他人，家庭会转交给另一个人：优先交给原本就是管理员的人，条件相同时交给最先加入的人。

关于共享家庭中的删除，有一点需要说明：注销账户时，个人数据会被删除，但你录入到家庭中的收支记录会保留，不再显示录入者，因为这些也是家庭其他成员的账目，而他们并没有提出任何要求。如果你希望这些记录也被删除，请事先删除它们，或通过邮件申请。如果你是唯一有访问权限的人，整个家庭会在 90 天后被删除。

未成年人

Nido 并非为 13 岁以下的未成年人设计，我们也不会在知情的情况下收集这个年龄段任何人的数据。一个家庭可以把青少年添加为家庭成员；这由家庭管理员决定并负责监督。

如果你住在乌拉圭（Ley 18.331）

这是本土法律：处理负责人住在乌拉圭，默认适用的就是这部法律。关于个人数据保护和 habeas data 诉讼的 Ley N.º 18.331，连同 Ley N.º 19.670 的修订和 Decreto 64/020，赋予你以下权利：

• 访问权（art. 14）：免费了解我们持有你的哪些数据，每六个月一次，如果数据有变动则可以更早。
• 更正、更新、补充或删除权（art. 15）：更正错误的内容，或要求删除不应存在的数据。
• 对自动评估提出异议的权利（art. 16）。Nido 中没有任何自动评估：见自动化决策，同样适用于这里。
• habeas data 诉讼（arts. 37 a 45），如果投诉没有结果。

答复访问请求的期限是五个工作日，更正或删除请求的期限是自收到之日起五个工作日。请发送至 [email protected]。

安全事件

如果发生可能影响你数据的安全事件，art. 4.º bis 要求在知悉后 72 小时内通知 Unidad Reguladora y de Control de Datos Personales (URCDP)，并在风险重大时也通知你。我们会这样做。

投诉

向 URCDP 投诉，该机构隶属于 AGESIC。无需事先联系我们，不过先联系我们通常更快。

Se você está no Brasil (LGPD)

本节依据 Lei Geral de Proteção de Dados Pessoais（Lei n.º 13.709/2018）。之所以适用，是因为 art. 3.º, II 涵盖任何在巴西境内收集数据的处理活动，无论处理数据的人位于何处。

Controlador 和 encarregado

Controlador： Santiago Rodríguez，自然人，位于乌拉圭。Encarregado pelo tratamento de dados pessoais（art. 41）：同一人，联系渠道是 [email protected]。Nido 是一个人的项目，宣称有一个并不存在的部门对谁都没有好处。与谁共享表格中的服务商是 art. 5.º, VII 意义上的 operadores。

法律依据，每个目的一项

目的	法律依据（art. 7.º）
创建账户、显示你的数字、让应用正常运行	V — 履行你作为一方当事人的合同
票据扫描和与 Auria 的对话	I — 同意，具体且可撤回
限制登录尝试、防止欺诈、维持服务运行	IX — 正当利益，且仅使用 IP 和必要的最少数据
回应有权机关的要求	II — 履行法定或监管义务

Nido 不处理敏感个人数据，即 art. 5.º, II 所列的数据：不涉及种族或民族出身、宗教信仰、政治观点、工会会员身份、健康数据、性生活，也不涉及遗传或生物识别数据。按照 LGPD，财务数据不属于敏感数据，尽管本文件同样以对待敏感数据的谨慎来处理它们。

跨境传输

数据库、服务器以及邮件和人工智能服务商都位于巴西境外。使用 Nido 必然涉及数据的跨境传输，其依据是 art. 33, VI：该传输是履行你作为一方当事人的合同所必需的。不进行跨境传输就无法使用这个应用，所以我们在这里明说，而不是放在脚注里。

你的权利（art. 18）

• 确认是否存在数据处理，并访问数据。
• 更正不完整、不准确或过时的数据。
• 要求对不必要或过度的数据进行匿名化、封锁或删除。
• 以机器可读的格式将数据转移到其他服务商。
• 删除基于同意而处理的数据，但 art. 16 规定的例外情况除外。
• 了解你的数据与哪些公共和私营实体共享过。
• 了解不给予同意会有什么后果，并有权拒绝同意。
• 随时撤回同意，免费，也无需说明理由。

以上所有权利均可通过写信到 [email protected] 行使。我们会在合理期限内答复；对于确认和访问请求，会在 art. 19, II 规定的 15 天内答复。

自动化决策

一项也没有。art. 20 赋予你权利，要求对仅由自动化系统作出、影响你利益的决策进行复核；Nido 中不存在这样的决策。Auria 只提供建议和总结，如何使用由你决定。扫描票据时，系统会给出金额和日期的建议，之后由你手动确认或更正。

未成年人

Nido 不面向 13 岁以下的未成年人。art. 14 要求，处理 crianças——12 岁以下的未成年人——的数据，须获得至少一位父母或法定监护人具体且显著的同意；我们不会在知情的情况下收集这个年龄段的数据。青少年可以成为家庭成员；这由家庭管理员决定并负责监督。

投诉

如果有任何让你不满意的地方，你可以向 Autoridade Nacional de Proteção de Dados (ANPD) 投诉，或向消费者保护机构投诉。先联系我们通常更快，但这不是向 ANPD 投诉的前提。

如果你住在加利福尼亚（CCPA/CPRA）

本节是 California Consumer Privacy Act 所要求的，该法经 CPRA 修订（Cal. Civil Code §§ 1798.100–1798.199）。该法有三项强制适用门槛，Nido 一项也没有达到——营业额没有达到 2500 万美元，每年处理的数据没有达到 100 000 名消费者，也没有靠出售数据赚钱——因此该法并不强制约束它。我们仍然写了这一节，而且即使没有义务，也会尊重下面这些权利。

法律意义上的个人信息类别

类别（§ 1798.140(v)）	在 Nido 中是什么	来源
标识符	姓名、邮箱、账户标识符，如果你用 Google 登录，还有 Google ID。	你，注册时
§ 1798.80(e) 规定的信息	你录入的财务记录：金额、币种、日期、商户、债务、分期以及信用卡卡号后四位。绝不包括完整卡号或安全码。	你，使用应用时
商业信息	订阅、预算、支出和储蓄历史。	你，使用应用时
网络活动	限流窗口期间的 IP 地址，以及应用出错时的错误信息和路径。	自动
视觉信息	你上传的票据照片和银行流水。	你，扫描或导入时
敏感个人信息（§ 1798.140(ae)）	仅限你账户的登录凭据：邮箱和密码（以哈希形式保存），以及你开启双重验证时的密钥。	你，注册时

Nido 不收集地理位置、生物识别数据、健康信息、种族或民族出身、宗教、工会会员身份、性取向、教育数据、职业信息，也不收集你私人通信的内容。它也不会对你的特征建立画像或作出 inferences：产品中没有任何分析工具。

敏感信息：做什么，不做什么

登录凭据仅用于验证你的身份和保护账户——这正是 § 1798.121(d) 明确豁免的用途。它们不会用于推断你的特征，也不会用于任何其他目的，因此 right to limit the use of sensitive personal information 没有可限制的对象。你仍然可以行使这项权利，而答复也会是这里写的内容。

出售与“sharing”

Nido 不出售（“sell”）也不共享（“share”）个人信息，这两个词的含义以 § 1798.140(ad) 和 (ah) 的规定为准。在上方日期之前的十二个月内没有这样做过，也没有任何这样做的计划。没有跨情境行为广告，没有广告网络，也没有第三方像素。因此本页面不设 § 1798.135 规定的 Do Not Sell or Share My Personal Information 链接：没有什么可以关闭的。

与谁共享中列出的服务商是 § 1798.140(ag) 和 (j) 意义上的 service providers 和 contractors：它们只接收提供服务所需的最少数据，不得将其用于其他目的。

你的权利及对应条款

权利	条款
了解我们持有哪些类别的数据和哪些具体数据	§ 1798.110
了解收集了什么、用于什么目的、与谁共享	§ 1798.115
删除	§ 1798.105
更正不准确的数据	§ 1798.106
以机器可读的格式进行数据可携	§ 1798.110(d)
拒绝出售或“sharing”	§ 1798.120 — 不适用：不存在出售或 sharing
限制敏感信息的使用	§ 1798.121 — 不适用：见上文
不因行使上述任何权利而受到歧视	§ 1798.125

如何行使

写信到 [email protected]。根据 § 1798.130(a)(1)(A)，完全在线运营、并与来信者有直接关系的服务，可以把邮件作为唯一渠道。你无需为了提出请求而创建账户；如果你已经有账户，我们也不会要求你再建一个。

• 验证：我们会把你来信中提供的信息与数据库中已有的信息进行比对。对于具体数据——而不仅仅是类别——的请求，要求更高，我们可能会请你用账户邮箱回复。
• 期限：我们会在 10 个工作日内确认收到，并在 45 个自然日内答复。如果需要更多时间，我们会在期限届满前通知你，并最多再延长 45 天。
• 频率：每十二个月可免费提出两次访问请求，这是法律规定的最低次数。如果你需要更多次，也请照样提出。
• 代理人：我们接受持有签字授权书或委托书的 authorized agent 提出的请求，并可能直接与你确认。
• 删除的限制：§ 1798.105(d) 允许保留履行法定义务或检测欺诈所需的数据。在 Nido，这项例外几乎用不上：注销后唯一保留下来的是家庭中的收支记录，原因已在你的权利中说明。

如果你住在欧盟或英国

Nido 并不面向欧洲经济区或英国提供服务：它使用的是拉普拉塔河地区的西班牙语，免费，也没有在那里推广。如果你仍然从那里使用它，以下是你的权利以及我们如何对待这些权利，尽管根据《通用数据保护条例》（GDPR）和 UK GDPR 在其 art. 3 中规定的“目标指向服务”标准，这两部法规并不适用于我们。

合法性依据（art. 6）

• 履行合同，art. 6.1.b：创建账户、保存你的收支记录并显示你的数字。
• 同意，art. 6.1.a：票据扫描和与 Auria 的对话。会单独征求同意，并可撤回。
• 正当利益，art. 6.1.f：安全、速率限制和防止滥用。这一利益在于维持服务运行，为此使用的只是几分钟内的 IP 地址。
• 法定义务，art. 6.1.c：回应有权机关的要求。

不处理 art. 9 规定的特殊类别数据。财务数据不属于特殊类别，而 art. 9 列举的数据我们一项也不收集。

你的权利（arts. 15 a 22）

访问、更正、删除、限制处理、数据可携和反对。还有 art. 22：不存在自动化决策，无论是具有法律效力的还是具有重大影响的。这些权利可通过写信到 [email protected] 行使，我们会在 art. 12.3 规定的一个月内答复。

向欧洲经济区以外的传输

整个系统都位于欧洲经济区以外。传输依据的是欧盟委员会的标准合同条款——与谁共享表格中的每个服务商都在其数据处理附录中纳入了这些条款——以及 art. 49.1.b：该传输是履行你所要求的合同所必需的。

Nido 没有在欧盟指定代表（art. 27），因为它不面向那里提供服务。如果这一点有变化，本节会最先更新。

投诉

向你居住国的数据保护监管机构投诉；在英国则向 ICO 投诉。

变更

如果本政策发生变更，我们会更新上方的日期，并在变更重要时在应用内通知。以前的版本保留在项目的公开历史记录中，因此随时可以查看之前写了什么、改了什么。